Sinapsi by Celebron · GDPR 第 28 条
数据处理协议
每家客户企业作为数据控制者，通过本协议委托数据处理者 Celebron S.r.l. 管理、控制和保管在 Sinapsi 中处理的数据。本协议构成 Sinapsi 合同的一部分。
最后更新：2026 年 10 月 13 日 · 译文仅供参考，以意大利文本为准
我只为提供服务而读取你的数据。这里写明 Celebron 如何保管它们。
1双方及其角色
客户是其发送给 Sinapsi 的文件中所含个人数据的控制者。Celebron S.r.l. 是依据欧盟第 2016/679 号条例（GDPR）第 28 条的处理者，仅代表客户处理这些数据。对于为管理合同而处理的客户联系人和看板用户数据，以及为履行反洗钱义务（例如尽职调查和十年保存）而处理的数据，Celebron 依其隐私声明作为独立控制者处理。
本协议构成 Sinapsi 合同的一部分，期限与合同一致。首字母大写的术语含义与Sinapsi 服务条款相同。
2处理的对象、性质和目的
Celebron 收集、记录、整理、存储、查阅和处理数据（包括使用人工智能系统），在看板中呈现，最终交还并删除，唯一目的是提供 Sinapsi 服务：看板、Vedi prima、法律纠纷文件夹和服务工时。
3数据主体和数据类型
| 涉及人员 | 数据类型 |
|---|---|
| 股东、董事、实际受益人和担保人 | 身份和联系信息、职务、持股、担保、在中央信贷登记系统和信用数据库中的记录 |
| 员工和合作者 | 来自工资单和 F24 表格的身份、薪酬和社保数据；工资单可能包含特殊类别数据，如病假或工会会费扣款 |
| 自然人客户和供应商 | 身份和税务信息、发票和合同的金额与到期日、付款信息 |
| 文书中提及的对方当事人和其他人员 | 身份信息、司法、税务和行政文书的金额与内容 |
| 客户的联系人和用户 | 姓名、职务、电子邮件、电话、访问日志 |
只有当特殊类别数据出现在服务所需的文件中时，Sinapsi 才会处理，且仅用于该目的。Sinapsi 不处理与刑事定罪和犯罪有关的数据（GDPR 第 10 条）：客户不发送刑事文书；如误收，Celebron 会删除并通知客户。
4客户的指示
Celebron 仅依据客户的书面指示处理数据，包括合同、看板设置以及联系人的书面要求。如认为某项指示违反法律，Celebron 会立即提出，并可暂停执行。数据仅在第 9 条所述情况下离开欧洲经济区。
5授权人员
只有因服务需要而须接触数据的 Celebron 人员才能访问数据；他们均经书面授权、负有保密义务，并接受过数据保护和人工智能使用方面的培训。访问均为个人账户并有记录。
6数据的管理、控制和保管
数据的管理、控制和保管由 Celebron 负责，并由 Celebron 对客户承担责任。
- 存放地点。数据存放在一家一流云服务商（例如 Amazon Web Services）的受保护服务器上，由该服务商本身或其官方合作伙伴管理，数据中心位于欧盟境内，具备 ISO/IEC 27001 认证，并签有符合《通用数据保护条例》（欧盟第 2016/679 号条例）第 28 条的数据处理协议。
- 隔离。每位客户的数据相互隔离，并以其客户代码标记。
- 入口。sinapsi@celebron.it 邮箱只接受来自授权地址且带有客户代码的文件。它只是中转站：文件会被转入受保护的环境，并在三十天内从邮箱中删除。
- 控制。每次访问和每项操作均有记录；记录至少保存十二个月，并定期检查。
- 扩展。随着客户数量增加，Celebron 扩展存储、服务器和安全措施（包括使用专属环境），同时保持本协议的各项保障，并就涉及服务商的变化通知客户。
7安全措施
Celebron 采取 GDPR 第 32 条规定的、与风险相适应的措施，包括：
- 传输中和静态数据加密；
- 员工使用多因素认证，看板用户使用个人代码；
- 最小权限：每个人只能看到其所需的内容；
- 加密备份，至少每天一次，单独存放在欧盟境内，并进行恢复测试；
- 安全更新和漏洞管理；
- 书面的事件和数据泄露处理程序；
- 至少每年一次以及每次重大变化时对措施进行复核。
8子处理者
客户概括授权 Celebron 使用子处理者。Celebron 通过合同要求子处理者承担与本协议相同的义务，从能够提供充分保障的服务商中选择，并就其工作对客户承担责任（GDPR 第 28 条第 4 款）。Celebron 会至少提前三十天通过电子邮件告知新增或更换的子处理者；客户可提出有合理理由的异议，如无法解决，可无偿解约。
| 服务 | 服务商 | 数据所在地 | 保障 |
|---|---|---|---|
| 云基础设施和存储 | 一流云服务商（例如 Amazon Web Services）或其官方合作伙伴；名称载于单项合同 | 欧盟 | GDPR 第 28 条，ISO/IEC 27001 |
| celebron.it 域名的电子邮件和网站 | 该域名的托管和邮件服务商 | 欧盟 | GDPR 第 28 条 |
| 人工智能模型 | 一流服务商（例如 Anthropic），其商业条款排除使用客户数据进行训练 | 欧盟或美国 | GDPR 第 28 条；美国方面适用欧美数据隐私框架或标准合同条款 |
| 法律纠纷相关专业人士 | 由客户选择或合作的律师、会计师和税务顾问 | 意大利 | 仅受客户委托介入，作为独立控制者 |
载有名称的最新清单附于单项合同，并可随时向 sinapsi@celebron.it 索取。
9向欧盟境外传输
数据存放在欧盟境内。服务商只有在具备 GDPR 第 44–49 条所规定保障的情况下，才能在欧洲经济区以外处理数据：充分性认定（例如适用于已加入的美国公司的欧美数据隐私框架）或欧盟委员会的标准合同条款，并进行风险评估，必要时采取补充措施。
10对客户的协助
- Celebron 在收到数据主体的请求后五个工作日内转交客户，并协助其答复（GDPR 第 15–22 条）。
- 为数据保护影响评估及可能的事先咨询提供所需信息（第 35–36 条）。
- 在安全和数据泄露处理方面提供协助（第 32–34 条）。
11数据泄露
一旦发现个人数据泄露，Celebron 会毫不拖延地通知客户，且无论如何不晚于四十八小时。通知内容包括发生了什么、涉及哪些数据和多少人、可能的后果以及已采取或拟采取的措施，以便客户在 GDPR 第 33 条规定的七十二小时内向意大利数据保护局报告。Celebron 记录每一起泄露事件，并配合向数据主体进行通知。
12人工智能
数据也会通过人工智能系统处理，但仅用于提供服务。在应用中，该人工智能系统以商业名称“Calypso”出现。Celebron 选择其条款排除使用客户数据训练模型并限制数据保存期限的服务商；不使用数据训练第三方模型；不作出仅基于自动化处理、对个人产生法律效力或类似重大影响的决定（GDPR 第 22 条）。所有提供给客户的结果均由 Celebron 团队人员核查。详见“我们如何使用人工智能”页面和“人工智能条款”。
13审计
Celebron 向客户提供证明其遵守本协议所需的信息（包括服务商的认证），并允许客户或其委托的、负有保密义务的审计人员进行审计；须提前三十天通知，除发生泄露外每年不超过一次，费用由客户承担。
14交还和删除
合同终止时，Celebron 应客户要求免费以结构化、通用且机器可读的格式交还数据，随后在六十天内删除（包括副本），法律要求保存的除外（例如反洗钱尽职调查文件，保存十年，第 231/2007 号法令第 31 条），并出具书面证明。备份随轮换周期在九十天内删除。
15记录和责任
Celebron 保存代表客户进行的处理活动记录（GDPR 第 30 条第 2 款）。双方依照 GDPR 第 82 条和合同承担责任。